vizual spoofing

Vizual spoofing to wykorzystanie wizualnie podobnych znaków do podszycia się pod inną domenę lub adres.

Na czym polega vizual spoofing w adresach internetowych

Vizual spoofing, częściej określany w języku angielskim jako visual spoofing lub homograph attack, polega na wykorzystaniu znaków wyglądających podobnie do znaków używanych w prawdziwej domenie albo adresie internetowym. Osoba atakująca może utworzyć domenę, której zapis przypomina nazwę banku, sklepu, operatora płatności, producenta oprogramowania lub firmowej usługi. Różnica nie musi być widoczna na pierwszy rzut oka. Zamiast zwykłej litery „a” może zostać użyty znak z innego alfabetu, na przykład cyrylickie „а”, które ma podobny kształt, ale jest innym znakiem Unicode. Podobnie mogą wyglądać niektóre znaki alfabetu greckiego, łacińskiego i cyrylicy.

Atak nie polega na zmianie działania protokołu HTTP ani na fizycznej modyfikacji komputera. Jego istotą jest wprowadzenie użytkownika w błąd za pomocą obrazu nazwy wyświetlanej w przeglądarce, wiadomości e-mail, komunikatorze lub dokumencie. Fałszywa domena może prowadzić do kopii strony logowania, formularza płatności albo witryny nakłaniającej do pobrania programu. Jeżeli użytkownik ocenia adres wyłącznie po jego wyglądzie, może uznać go za prawidłowy mimo odmiennego kodowania znaków lub drobnej różnicy w nazwie.

Unicode, IDN i zapis Punycode

Współczesne domeny internetowe mogą używać nazw umiędzynarodowionych, określanych jako IDN, czyli Internationalized Domain Names. System DNS operuje jednak na ograniczonym zestawie znaków ASCII, dlatego nazwy zawierające znaki spoza tego zakresu są przekształcane do postaci ASCII za pomocą mechanizmu Punycode. Taki zapis domeny zaczyna się od prefiksu xn--. Przykładowo domena zawierająca znak diakrytyczny może być technicznie reprezentowana w DNS jako ciąg zaczynający się właśnie od tego prefiksu, mimo że interfejs przeglądarki może pokazywać użytkownikowi wersję z czytelnym znakiem Unicode.

Samo użycie IDN nie jest błędem ani dowodem oszustwa. Domeny wielojęzyczne są prawidłowym elementem infrastruktury internetowej. Ryzyko powstaje wtedy, gdy rejestracja domeny pozwala połączyć znaki z różnych skryptów albo użyć znaków z kategorii Unicode określanych jako confusables, czyli wizualnie mylące odpowiedniki. Przeglądarki stosują reguły bezpieczeństwa, takie jak ograniczenia dotyczące mieszania alfabetów, wyświetlania nazwy w formie Unicode oraz prezentowania adresu w Punycode. Zasady te różnią się między przeglądarkami i mogą zależeć od profilu użytkownika, ustawień językowych oraz reputacji domeny.

Podobny efekt można uzyskać bez Unicode, wykorzystując zwykłe literówki, dodatkowe myślniki, podmianę kolejności znaków albo domenę o innej końcówce. Należy również uważać na strukturę adresu: w zapisie https://przyklad.pl.falszywa-domena.example/ rzeczywistą domeną jest falszywa-domena.example, a wcześniejszy fragment może jedynie udawać nazwę zaufanej witryny. O tym, do jakiej domeny należy połączenie, decyduje końcowa część nazwy domenowej przed ścieżką, a nie pierwsze słowa widoczne w pasku adresu.

Jak rozpoznać próbę podszycia się pod domenę

Podstawową czynnością jest dokładne sprawdzenie całej nazwy domeny, a nie tylko wyglądu logo, kolorów strony czy obecności kłódki w przeglądarce. Certyfikat TLS potwierdza szyfrowanie połączenia i powiązanie certyfikatu z określoną domeną, ale nie oznacza, że właściciel domeny jest uczciwy. Oszust również może uzyskać prawidłowy certyfikat dla swojej domeny. Warto kliknąć w pasek adresu i sprawdzić, jaka nazwa znajduje się bezpośrednio przed pierwszym ukośnikiem ścieżki oraz jaka jest końcówka domeny.

Sygnałami ostrzegawczymi są nietypowe znaki, zapis xn--, nieoczekiwana końcówka domeny, literówka, presja czasu oraz link otrzymany w wiadomości nakazującej natychmiastowe logowanie lub płatność. Bezpieczniej jest ręcznie wpisać adres znanej usługi, użyć wcześniej zapisanej zakładki albo otworzyć oficjalną aplikację. Nie należy potwierdzać logowania wieloskładnikowego, jeżeli użytkownik sam nie rozpoczął danej sesji. W przypadku podejrzanej strony można zamknąć kartę, nie wpisywać danych i zgłosić wiadomość administratorowi usługi albo dostawcy poczty.

Ochronę uzupełniają filtry antyphishingowe w przeglądarce i programie pocztowym, aktualne listy reputacyjne domen oraz menedżer haseł. Menedżer haseł zwykle rozpoznaje dokładny adres zapisany dla danej witryny i nie wypełnia automatycznie danych na domenie o innej nazwie. Nie zastępuje to jednak ostrożności, ponieważ użytkownik może sam wkleić hasło do fałszywego formularza. W środowisku firmowym dodatkową kontrolę mogą zapewniać filtry DNS, blokady kategorii stron i reguły pocztowe, ale ich skuteczność zależy od aktualności baz oraz prawidłowej konfiguracji.

Sprawdzenie komputera po otwarciu podejrzanego adresu

Samo otwarcie strony wykorzystującej vizual spoofing nie oznacza automatycznie infekcji komputera. Najczęstsze zagrożenie polega na wyłudzeniu hasła, kodu jednorazowego, danych karty lub nakłonieniu użytkownika do uruchomienia pobranego pliku. Jeżeli dane zostały wpisane, należy zmienić hasło na prawdziwej stronie usługi, unieważnić aktywne sesje i skontaktować się z dostawcą usługi. Przy podejrzeniu ujawnienia danych płatniczych trzeba skontaktować się z bankiem lub operatorem karty, korzystając z oficjalnego numeru.

Jeżeli z podejrzanej witryny pobrano program, nie należy go uruchamiać. Po przypadkowym uruchomieniu warto odłączyć komputer od sieci, wykonać pełne skanowanie aktualnym programem zabezpieczającym i sprawdzić listę ostatnio zainstalowanych aplikacji oraz rozszerzeń przeglądarki. Należy także zweryfikować, czy nie zmieniły się ustawienia strony startowej, wyszukiwarki, proxy albo powiadomień witryn. W razie objawów takich jak nieznane okna logowania, przekierowania, nowe konta użytkowników lub nietypowa aktywność sieciowa potrzebna jest dokładniejsza analiza systemu.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w ramach diagnostyki może również sprawdzić działanie systemu po kontakcie z podejrzaną stroną lub plikiem. Przydatne są informacje o adresie witryny, czasie zdarzenia, pobranych plikach i wykonanych działaniach, ponieważ ułatwiają odtworzenie przebiegu incydentu. Nie należy jednak przesyłać serwisowi haseł ani kodów autoryzacyjnych; do analizy wystarczą opis zdarzenia, zrzut adresu oraz bezpieczne metadane dotyczące pliku.